AWS Lightsail生产环境向S3上传文件报AccessDenied错误咨询

问题排查结论 #

• 这个报错确实是S3侧返回的403权限拒绝错误，哪怕你已经将桶设置为公开可访问，90%以上的概率仍然需要调整S3相关的权限配置，本地正常生产异常是典型的两侧身份/配置不一致导致的问题。

优先排查以下几点： #

• 先确认S3桶的阻止公共访问配置：AWS S3默认开启4项公共访问阻止规则，很多用户仅修改了桶ACL为公开，没有关闭这几项开关，所有公共访问的请求还是会被直接拦截。
• 检查Lightsail实例使用的AWS身份权限：你本地调试通常用的是有管理员权限的个人密钥，而Lightsail实例如果绑定的是IAM角色、或者用的专门的IAM用户密钥，需要确认该身份有对应S3桶的s3:PutObject写入权限，仅桶公开不代表所有匿名/公网身份默认有写入权限。
• 看报错里的region: null字段：你的生产环境AWS SDK大概率没有正确配置S3桶对应的区域，区域配置缺失也会触发S3的403错误，检查生产环境的环境变量、配置文件里的S3区域参数是否和桶实际所在区域一致。
• 核对桶策略规则：如果你的桶配置了自定义桶策略，确认策略中没有限制来源IP为你本地IP、也没有禁止Lightsail实例的公网IP访问，同时明确给了对应身份或者匿名身份的写入权限。
• 如果桶开启了KMS默认加密：还需要给Lightsail使用的IAM身份加对应KMS密钥的kms:GenerateDataKey权限，否则加密对象写入时也会返回403。

内容的提问来源于stack exchange，提问作者Jeremy